Vulnérabilité dans Super Forms – Drag & Drop Form Builder (WordPress plugin) (CVE-2026-15983)
Résumé
Vulnérabilité dans Super Forms – Drag & Drop Form Builder (WordPress plugin) (CVE-2026-15983). Les données peuvent être altérées par des attaquants. Exploitable via super_save_form.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Arbitrary File/Directory Deletion in all versions up to, and including, 6.3.316. This is due to the super_save_form AJAX handler performing no capability check — allowing Subscriber-level authenticated users to create or modify Super Forms and enable the file_upload_submission_delete setting — combined with the super_submit_form handler's submit_form function passing the attacker-controlled files[].subdir value from $_POST['data'] directly into SUPER_Common::delete_dir() without sanitization, and a trivially bypassed ABSPATH guard that a subdir value of wp-config.php defeats because dirname(realpath(ABSPATH . $subdir)) resolves to the WordPress root while the naive ABSPATH !== $dir string check fails to match due to a trailing-slash mismatch. This makes it possible for authenticated attackers, with Subscriber-level access and above, to recursively delete arbitrary files and directories on the server, up to and including the entire WordPress installation, resulting in full site takedown and potential remote code execution if critical files such as wp-config.php are removed and the site is subsequently re-installed by another party.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-15983 a été découverte dans Super Forms – Drag & Drop Form Builder (WordPress plugin).
Des attaquants peuvent cibler un point d'entrée spécifique comme super_save_form à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Super Forms – Drag & Drop Form Builder (WordPress plugin) CVE-2026-15983 » sur le site de l'éditeur.
CVE-2026-15983 (Super Forms – Drag & Drop Form Builder (WordPress plugin)) — CWE-73 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : super_save_form / file_upload_submission_delete / super_submit_form / submit_form
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-73) affecte Super Forms – Drag & Drop Form Builder (WordPress plugin). Les attaquants atteignent le code vulnérable via super_save_form.
Consultez l'avis de l'éditeur pour les versions affectées de Super Forms – Drag & Drop Form Builder (WordPress plugin). Surface d'attaque : super_save_form / file_upload_submission_delete / super_submit_form / submit_form.
Gravité : Élevée (CVSS 8.1/10). Les données peuvent être altérées par des attaquants.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで Super Forms – Drag & Drop Form Builder (WordPress plugin) を使っているサービスとバージョンを洗い出す。
-
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Références
- web github.com
- web wordfence.com
- web nvd.nist.gov
- web github.com